交換機(jī)典型訪問控制列表配置實(shí)例

1、交換機(jī)典型訪問控制列表配置實(shí)例一 、組網(wǎng)需求：1通過配置基本訪問控制列表，實(shí)現(xiàn)在每天8:0018:00時間段內(nèi)對源ip為10.1.1.2主機(jī)發(fā)出報(bào)文的過濾；2要求配置高級訪問控制列表，禁止研發(fā)部門與技術(shù)支援部門之間互訪，并限制研發(fā)部門在上班時間8:00至18:00訪問工資查詢服務(wù)器；3通過二層訪問控制列表，實(shí)現(xiàn)在每天8:0018:00時間段內(nèi)對源mac為00e0-fc01-0101的報(bào)文進(jìn)行過濾。二、組網(wǎng)圖三、 配置步驟： h3c 3600 5600  5100系列交換機(jī)典型訪問控制列表配置共用配置1根據(jù)組網(wǎng)圖，創(chuàng)建四個vlan，對應(yīng)加入各個端口<h3c>sys

2、tem-viewh3cvlan 10 h3c-vlan10port gigabitethernet 1/0/1 h3c-vlan10vlan 20 h3c-vlan20port gigabitethernet 1/0/2 h3c-vlan20vlan 20 h3c-vlan20port gigabitethernet 1/0/3 h3c-vlan20vlan 30 h3c-vlan30port gigabitethernet 1/0/3 h3c-vlan30vlan 40 h3c-vlan40port gigabitethernet 1/0/4 h3c-vlan40quit2配置各vlan虛接

3、口地址h3cinterface vlan 10 h3c-vlan-interface10ip address 10.1.1.1 24 h3c-vlan-interface10quith3cinterface vlan 20 h3c-vlan-interface20ip address 10.1.2.1 24 h3c-vlan-interface20quith3cinterface vlan 30 h3c-vlan-interface30ip address 10.1.3.1 24 h3c-vlan-interface30quith3cinterface vlan 40 h3c-vlan-int

4、erface40ip address 10.1.4.1 24 h3c-vlan-interface40quit3定義時間段h3c time-range huawei 8:00 to 18:00 working-day需求1配置（基本acl配置）1進(jìn)入2000號的基本訪問控制列表視圖h3c-gigabitethernet1/0/1 acl number 20002定義訪問規(guī)則過濾10.1.1.2主機(jī)發(fā)出的報(bào)文h3c-acl-basic-2000 rule 1 deny source 10.1.1.2 0 time-range huawei3在接口上應(yīng)用2000號aclh3c-acl-basic-

5、2000 interface gigabitethernet1/0/1h3c-gigabitethernet1/0/1 packet-filter inbound ip-group 2000h3c-gigabitethernet1/0/1 quit需求2配置（高級acl配置）1進(jìn)入3000號的高級訪問控制列表視圖h3c acl number 30002定義訪問規(guī)則禁止研發(fā)部門與技術(shù)支援部門之間互訪h3c-acl-adv-3000rule 1 deny ip source 10.1.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255 3定義訪問規(guī)則禁止研發(fā)部

6、門在上班時間8:00至18:00訪問工資查詢服務(wù)器h3c-acl-adv-3000 rule 2 deny ip source any destination 129.110.1.2 0.0.0.0 time-range huaweih3c-acl-adv-3000 quit4在接口上用3000號aclh3c-acl-adv-3000 interface gigabitethernet1/0/2h3c-gigabitethernet1/0/2 packet-filter inbound ip-group 3000需求3配置（二層acl配置）1進(jìn)入4000號的二層訪問控制列表視圖h3c acl

7、number 40002定義訪問規(guī)則過濾源mac為00e0-fc01-0101的報(bào)文h3c-acl-ethernetframe-4000 rule 1 deny source 00e0-fc01-0101 ffff-ffff-ffff time-range huawei3在接口上應(yīng)用4000號aclh3c-acl-ethernetframe-4000 interface gigabitethernet1/0/4h3c-gigabitethernet1/0/4 packet-filter inbound link-group 4000  h3c 5500-si 3610 55

8、10系列交換機(jī)典型訪問控制列表配置需求2配置1進(jìn)入3000號的高級訪問控制列表視圖h3c acl number 30002定義訪問規(guī)則禁止研發(fā)部門與技術(shù)支援部門之間互訪h3c-acl-adv-3000rule 1 deny ip source 10.1.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255 3定義訪問規(guī)則禁止研發(fā)部門在上班時間8:00至18:00訪問工資查詢服務(wù)器h3c-acl-adv-3000 rule 2 deny ip source any destination 129.110.1.2 0.0.0.0 time-range huawe

9、ih3c-acl-adv-3000 quit4定義流分類h3c traffic classifier abch3c-classifier-abcif-match acl 3000h3c-classifier-abcquit5定義流行為，確定禁止符合流分類的報(bào)文h3c traffic behavior abc h3c-behavior-abc filter denyh3c-behavior-abc quit6定義qos策略，將流分類和流行為進(jìn)行關(guān)聯(lián)h3cqos policy abc h3c-qospolicy-abc classifier abc behavior abch3c-qospolic

10、y-abc quit7在端口下發(fā)qos policyh3c interface g1/1/2 h3c-gigabitethernet1/1/2 qos apply policy abc inbound8補(bǔ)充說明：l        acl只是用來區(qū)分?jǐn)?shù)據(jù)流，permit與deny由filter確定；l        如果一個端口同時有permit和deny的數(shù)據(jù)流，需要分別定義流分類和流行為，并在同一qos策略中進(jìn)行關(guān)聯(lián)；l        qos策略會按照配置順序?qū)?bào)文和classifier相匹配，當(dāng)報(bào)文和某一個classifier匹配后，執(zhí)行該classifier所對應(yīng)的behavior，然后策略執(zhí)行就結(jié)束了，不會再匹配剩下的classifier；l        將qos策略應(yīng)用到端口后，系統(tǒng)